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<§) Verfahren, Vorrichtung und Softwareprogramm zur Clberwachung von Inform at ion sflussen in 
Com pute rsystem e n 

® Ein Verfahren zur Oberwachung von Informationsflus- 
sen in Computersystemen, wobei Information zwischen 
zumindest einer ersten Rechnerzentraleinheit und zumin- 
dest efner Peripheriegerateeinheit oder einer weiteren 
Rechnerzentraleinheit gelertet wird, weist die Schritte auf: 
Einleiten der Information in in einen Speicher einer Si- 
cherheitsrechnereinrichtung, Bearbeiten der Information 
in der Sicherheitsrechnereinrichtung nach einer vorgeb- 
baren Bearbeitungsprozedur, Oberwachen der durch das 
Bearbeiten der Information in der Sicherheitsrechne rein- 
rich tun g erzeugten Reaktion und Weiterleiten der Infor- 
mation, wenn die erzeugte Reaktion einem vorgegebenen 
Reaktionsmuster entspricht. Eine Vorrichtung zur Durch- 
fuhrung dieses Ve rf ah re ns weist eine Sicherheitsrechner- 
einrichtung in der Informationsstrecke zwischen der er- 
sten Rechnerzentraleinheit und der Peripheriegerateein- 
heit oder weiteren Rechnerzentraleinheit auf, so daS der 
FluB der Information durch dieSicherheitsrechnereinrich- 
tung von einem Informationseingang zu einem Informati- 
onsausgang erfolgt, wobei die Sicherheitsrechnereinrich- 
tung zumindest einen wiederbeschreibbaren Speicher 
aufweist, indem zumindest ein Speicher bereich vorgese- 
hen 1st, in den eine durch den Informationseingang arv 
kommende Information eingeleitet wird, in dem sie bear- 
beitet wird und a us dem sie weitergeleitet wird. 
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Die Erfindung betrifft ein Verfahren zur Uberwachung 
von In formal ions fliissen in Computersystemen, wobei In- 
formation zwischen zumindesi einer Rechnerzentraleinheit 
(CPU) und zumindesi einer Peripheriegeraieeinheit odereir 
ner weiteren Rechnerzentraleinheil (CPU) gelei let wird. 
Weiterhin belriffi die Erfindung eine Vorrichtung zur Uber- 
wachung von In formal ions fliissen in Computersystemen, 
wobei Information zwischen zumindesi einer ersten Rech-. 
nerzentraleinheil (CPU) und zumindesi einer Peripheriege- 
raieeinheit oder einer weiteren Rechnerzentraleinheil (CPU) 
durch eine Infonnationsstjecke geleitet wird. SchlieBlich 
stelll die Erfindung auch noch ein entsprechendes Software- 
programm bereit. 

Computer und insbesondere Computemetzwerke sind 
heute verstarkt unerlaubten und erwiinschten Angriffen von 
auBcn, bcispiclswcisc durch Computcrvircn odcr durch Zu- 
griffsversuche von unauiorisierten Personen ausgesetzt, ins- 
besondere wenn die Computer oder die Computemetzwerke 
mit offentlichen Netzwerken wie dem Internet verbunden 
sind. Es ist zwar bekannt, an der Schnitts telle zum offentli- 
chen Netz eine sogenannte Firewall vorzusehen, die ein Ein- 
dringen von unauiorisierten Personen, sogenannten Hak- 
kem, in einen Computer oder in ein lokales CompuiemeLt- 
werk erschweren, doch bieten diese Systeme keinen Schutz . 
gegen Viren und auch nicht gegen das unerlaubte Eindrin-,' 
gen von unautorisierten Personen, die Insiderkenntnisse 
uber den Computer oder uber das lokale Computernetzwerk 
und deren Sicherheitsvorkehrungen besitzen. , ( 

Gegen Computerviren gibt, es zwar Virenschutzpro- 
gramme, die ihnen bekannte Viren oder virenahniiche.Pro- 
grainmkonstrukte erkennen konnen, sofern sie den elektn> 
nischen Fingerabdruck des entsprechenden Virus 'lkenncn'' 
oder mitt els eines.Softwarealgorithmus eine ankommende 
Information auf fur Vixen typische Programmsmikturen hin 
untersuchen konnen. Die. Gefahr, daB derartige Viren schutz-. 
programme, versagen, steigt, wenn ein neuer Virus oder eine 
neue virusahnbche Programmstruktur auftaucht, so dafi ein 
standiges Aktualisieren der Virenschutzprogramme erfor r 
derlich ist, wobei eine Aktualisierung immer nur eine Ifccak'-, 
tion auf neue Viren oder Viren arten sein kann. >; . . T - . 

Aufgabe der vorliegenden Erfindung ist es daher, ein Ver- 
fahren sowie eine Vorrichtung und auch ein SpftwareprcH 
gramm anzugeben, mittels derer der Schutz yon an einem 
offentlichen Netz angeschlossenen Cornputern oder Jokalen 
Computemetzwerken yerbessert und damit die Sicherheit 
erhohtwird. , " 

Der das Verfahren betreffende Teil dieser Aufgabe wird 
gelost durch die Verfahren sschritte: Einleiten der Informa- 
tion in einen Speicher einer Sicherheit srechnereinrichtung; 
Bearbeiten der Information in der, Sicherheitsrechnerein- 
richtung nach einer vorgebbaren Bearbeitungsprozedur, 
Oberwachen der durch das Bearbeiten der Information in 
der Sicherheitsrechnereinrichtung erzeugten Reaktion und 
Weiterleiten der Information, wenn die erzeugte Reaktion 
einem vorgegebenen Reaktionsmuster entspricht. 

Bei diesem ernndungsgemaBen Verfahren wird die an- 
kommende Information zunachst in einem Speicher (z. B. 
einem Speicherbaustein) abgelegt, der in herkommlicher 
Weise uber Adressen angesprochen wird. Die Information 
wird dann mil der vorgebbaren Bearbeitungsprozedur be- 
handelt, das heiBt sie wird mit besiimmien Befehlen beauf- 
schlagt und die Reakiion der Information auf diese Befehle, 
das hciBt zum Bcispicl cin ZugrifT auf cine bestimntte Spci- 
cheradresse, wird uberwacht und mit einem vorgegebenen 
Reaktionsmuster verglichen, wodurch festgestellt werden 
kann, ob diese Reaktion fur die untersuchte Information ty- 



u i . pisch und zulassig ist.. = ,-■• 

mo* Entsprichl die erzeugte "Reaktion einem 'vorgegebenen 
• i • I ■ , Reaktionsmuster, so wird die : Information aus der S icher- 
heitsrechnereinrichtung an den Ziel rech ner oder die Peri- 
5 pheriegerateeinheit weitergeleitet. .Die: Information kann 
beispielsweise eine E-Mail-Nachricht, eine Prograrnmdatei, 
eine Textdatci, ein Spreadsheet einer Tabellenkalkulation, 
eine Datenbankdatei oder irgendeine andere Datei sein. Auf 
diese Weise kann festgestelli werden, ob ein Virus in einer 
to Information einen unerlaubten Speicherzugriff, beispiels- 
weise auf den Boot-Sektor einer Festplatte oder einen uner- 
laubten Befehl. beispielsweise einen Formatierungsbefehl 
fur eine Festplatte, als Reaktion auf irgendeinen an diese In- 
formal ion gerichteien Befehl, beispielsweise einen Druck- 
t5 oder Copy-Befehl oder auch nur als Reaktion auf eine Zeit- 
oder Datu Disinformation, ausgibt. ■ ... 

Diese erfindungsgemaBe Sicherheitsprozedur kann nicht 
nur durchgefuhrt werden, urn Zugriffc von auBcn auf cine 
Rechnerzentraleinheil zu verhindern, sondem kann eben- 
20 falls benutzt werden, urn von einer Rechnerzentraleinheil an 
eine Peripheriegeraieeinheit oder eine weitere Rechnerzen- 
traleinheil ausgesandte Information zu uberprufen und auf 
die Zulassigkeit ihres Exports hin zu untersuchen. 

Ebenso kann das erfindungsgemafie Verfahren von auBen 
25 an eine Rechnerzentraleinheil in einer Online-Sitzung ge- 
richtete Befehle priifen und ihre Weiterleitung an die Rech- 
nerzentraleinheit gegebenen falls unterbinden, so daB auch 
s unautorisierte Zugriffe von auBen nicht mehr moglich sind. 

In einer vorteilhaften Ausfuhrungsform wird die Informa- 
30 tion in einem Sicherheitsspeicherbereich (einem Bereich 
von Speicheradressen) gespeichert, wenn die erzeugte Re- 
, aktion nicht einem vorgegebenen Reaktionsmuster ent- 
.... spricht. Piese auch als "abgelehnte Nacluicht" bezeichnete 
Information wird auf eine sichere Weise derart im Sicher- 
35 = heitsspeicherbereich, vorzugsweise auf einem separaten 
Speichermedium, abgelegt, daB der Inhalt der Information 
beispielsweise in einem FTAM-envelope (wie ein Brief in 
. einem Umschlag) nach auBen abgeschottet ist, Dabei wer- 
den wichtige zu der abgelehnten Nachricht gehorige Infor- 
40 mationen mit abgespeichert wie die Reaktion, die zur Be- 
. .wertung. als. abzulehnende Nachricht gefuhrt hat, also der 
Tehler" der Information, sowie insbesondere bei e-Mail- 
; -, Nachrichten die Herkunft dieser Nachricht und von wem 
, und zu welchem Zeitpunkt diese Nachricht gesendet worden 
45 ist, Vorzugsweise wird somit das gesamte an einer e-Mail- 
Nachricht hangende Routing-Protokoll mit abgespeichert. 
. Hierdurch konnen beispielsweise Computerviren isoliert 
werden und spSter bei Bedarf analysiert werden, um spezifi- 
sche AbwehrmaBnahmen gegen einen derartigen Virus ent- 
so wickeln zu konnen. AuBerdem kann mit dieser Information 
beispielsweise der Ab sender einer virusverseuchten Infor- 
mation identifizien . und benachrichugt oder auf andere 
Weise verfolgt werden. i - 

Diese erfindungsgemaBe Vorrichtung ist unabhangig von 
55 dem auf dem Zielrechner laufenden Betriebssystem. Nach 
auBen stellt sich die Sicherheiisrechnereinrichtungals "offe- 
nes Rechnersystem" dar und ist! fur eingehende Informatio- 
nen und Nachrichten nicht ; als Sicherheilsrechnereinrich- 
tung erkennbar. 

60 Vorteilhafterweise wird eine Alarmmeldung ausgegeben, 
wenn die erzeugte Reaktion nicht einem vorgegebenen Re- 
aktionsmuster enlspricht. Diese Alarmmeldung kann bei- 
spielsweise den Systemadminisiralor in einem Netzwerk 
tlber einen erfolgten Virenangriffsversuch oder den Versuch 
65 cincs Eindringcns in cincn Computer odcr in cin lokales 
Netzwerk informieren, so daB der Systemadministrator um- 
gehend zusatzliche SicherheitsmaBnahmen einleiten kann. 
In einer vorteilhaften Weiterbildung werden der fur die 
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Information und deren Bearbeiiung reservierte Arbehsspei- ■ 
chcrbcreich dcr Sicherheitsrsctanereinrichlung, da- fiir das 
BIOS der Sicherheitsrechnereinrichtung reservierte Arbeils- 
speicherbereich und der fur das Betriebssyslern der Sicher- 
hcitsrechnereinrichiung reservierte Arbeitsspeicberbereich 
zumindest einmal physikalisch geloscht und das BIOS und 
das Belriebssysiem der Sichemeilsrechnereinrichtung wer- 
den emeul in den Arbeitsspeicher geladen. bevor eine neue 
Information in die Sicherheiisrechnereinrichtung eingeleitet 
wird. 

Altemativdazu konnen die vorgenannten Schritte auch 
durchgefuhrt werden. nachdeni eine Information in der Si- 
cherheitsrechnereinrichtung entsprcchend den eingangs ge- 
nannten Verfahrensschritten abgearbeitet worden ist. Durch 
diese altemaliven zusatzlichen Verfahrensschritte wird ge- 
wahrleistet, daB Viren, die sich moglicherweise in einen Ar- 
beitsspeicherbereich der Sicherheiisrechnereinrichtung ein- 
gcschlichcn haben, mil Sichcrhcii aus dem Arbeitsspeicber- 
bereich geloscht werden, bevor eine neue Information gela- 
den und nach dem erfindungsgeniaBen Verfahren bearbeitei 
wird. 

Das BIOS und das Betriebs system der Sicherheitsrech- 
nereinrichtung sind vorzugsweise in einem nicht loschbaren 
und nicht iiberschreibbaren Speicherbaustein (z. B. einem 
EPROM) dauerhaft gespeichert und werden hieraus i miner 
"frisch" in den Arbeiisspeicherbereich geladen. - 

Vorteilhaft ist auch, wenn die Bearbeitungsprozedur eine 
fiir die jeweilige An der Information typische, vorgegebene 
Behandlungsroutine aufweist. Auf diese Weise konnen bei- 
spielsweise individuelie Behandlungsroutinen fiir die Be- 
handlung von Textdateien, Programmdaieieh, Spreadsheets, 
Datenbanktabellen oder andere Dateien Anwendung finden. - 

We iter vorteilhaft ist es, wenn die Bearbeitungsprozedur 
einen oder mehrere Befehle einmal oder mehrmals ausfuhrt, 
die an sich geeignet sind, Virenprogramme oder andere, in < 
der zu behandelnden Information versteckte und somit nicht 
erkennbare unautorisierte Programme oder Programinrouii- 
nen zu aktivieren. Hierdurch wird gewahrleistet, dafi bei- 
spiels weise Viren, die sich erst nach einer gewissen Zeit- 
spanneoder nach einer mehrmaligen Anzahl von Kopierbe- 1 
fehlen oder anderen Befehlen aktivieren; 'zuveriassig cntT ,; 
deckt werden. . ■ : ' ' '* .">!':■:• > 

Werden im Schritt des Uberwachens der durch das Bear-' 
beiten der In formation in der Sicherheitsrechnereinrichtung r 
erzeugten Reaktion Zugriffe auf voigegebene Adressberei-' 
che im Arbeitsspeicher und/oder in Cachespeichern detek- 
tiert und auf ihre Zulassigkeit hin ausgewertet, so konnen - 
gezieli Virenangriffe oder bcabsichiigies Entwenden von 
gespeicherten Daten erkannt und unierbunden : werden. Die 
vorgegebenen Adressbereiche konnen beispielsweise BIOS- 
Speicherbereiclie, Betriebssyslern- Speicherbereiche, Netz^ 
werkspeicherbereiche, Grafikkartenspeicherbereiche, Spei- 
cherbereiche fur Festplatten oder andere Datentragerlauf- 
werke sowie sonstige nicht freigegebene Arbeitsspeicherbe- 
reiche sein. • 

Eine andere bevorzugte AusfUhrungsforin des erfin- 
dungsgemaBen Verfahrens kennzeichnct sich dadurch, daB J 
die Schritte des Bearbeitens und des Uberwachens fur be- 
sti in mle vorgebbare Information umgangen werden und die* 
Information direki an einen definierten zulassigen Adressbe- 
reich im Arbeitsspeicher und/oder in Cachespeichern wei- • 
tergeleiiet wird und daB die verbleibenden Adressbereiche 
des Arbeit sspeichers u nd/oder • von Cachespeichern derail 
uberwacht werden; daB die information den 1 zulassigen 
Adrcssbcrcich nicht vcrlasscn kann. Der Vortcil dicscr Wci- 
terbildung des erfindungsgemaBen Verfahrens liegt darin, 
daB bestimmte autorisierte Zugriffe schnell erfolgen kon- 
nen, da sich nicht die Sicherheils-Bearbeitungsprozedur der 
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vorliegenden Erfindung durchlaufen mussen. So kann bei- 
spielsweise dcr Zugriff auf den Grafikspeichcr ungepriift zu- 
gelassen werden. was beispielsweise das sogenannte Surf en 
in offent lichen Netzen wie dem fntemet. ohne zehliche Ver- 
zogerung gesiatiet und wobci die erfindungsgemaBe Sicher- 
heits- Bearbeitungsprozedur erst dann einschreitet, wenn Zu- 
griffe auf andere Adressbereiche erfolgen. 

Der die Vbrrichtung zur Oberwachung gem a 6 einem er- 
findungsgemaBen Verfahren betreffend Teil wird dadurch 
geldst, daB eine Sicherheitsrechnereinrichtung in dcr Infor- 
mal ionsstrecke zwischen der erslen Rechnerzenlraleinheii 
und der Peripheriegeraieeinheii oder der weiteren Rechner- 
zenlraleinheii vorgesehen isi. so daB der FluB der Informa- 
tion durch die Sicherheitsrechnereinrichlung von einem In- 
formationseingang zu einem Infonnaiionsausgang erfblgL 
und daB die Sicherheiisrechnereinrichtung zumindest einen 
wiederbeschreibbaren Speicher aufweist, wobei ein Spei- 
chcrbcrcich vorgesehen ist, in den cine durch den Informaii- 
onseingang ankommende Information eingeleitet wind, in 
dem sie bearbeitei wird und aus dem sie weitergeleitet wird. 

Diese erfindungsgemaBe Vbrrichtung ermoglicht das Ab- . 
fangen einer eingehenden Information, sowie deren Bear- 
beitung in einem unabhangigen und physikalisch von dem 
Zielrechner, an den die Information gesandt werden soli, ge- 
trennten Speicher, wobei dieser Speicher alle Register 
(Speicheradressen) des Zielrechners aufweist. Diese ^ Spei- 
cheradressen in der Sicherheitsrechnereinrichtung entspre- 
chen dabei jenen Adressen, die im Zielrechner vorgesehen 
sind und dort sowohl zu computerintemen als auch zu exter- 
nen Geraten gehoren konnen. Die Steuerung der Bearbei- 
tungsprozedur und die Oberwachung der dadurch ausgelo- 
sten Reaktion wird dabei von der Rechnerzentraleinheit des 
Zielrechners durchgefuhrL 

-■ Die erfindungsgemaBe Vbrrichtung ist unabhangig vori 
dem auf dem Zielrechner laufenden Betriebssystem, da sie 
ein eigenstandiges Betriebssystem verwenden, das mit alien 
bekannten Betriebssystemen zusammenarbeiten kann.-Nach 
auBen steik sich die Sicherheiisrechnereinrichtung als "off e- 
nes Rechnersystem" dar und ist fur eingehende Informalio- 
nen und Nachrichten nicht als Sicherheitsrechnereinrich- 
tung erkeiinbar. Das gesamte Rechnersystem des Zielrech- 
iners wird in der Sicherheitsrechnereinrichtung abgebildet, 
wobei die' Sicherhdtsrechnereinrichtung als eine "Black 
Box" den Zielrechner si mu lien. 

VorteiUiafierweise ist die Sicherheitsrechnereinrichtung 
als eigenstandig funktionsfahiger Computer mit einer eige- 
nen Rechnerzentraleinheit (CPU) ausgebildet. Bei dieser 
Ausfiihrungsform kann die Steuerung der Bearbeitungspro- 
zedur, sowie das Oberwachen der dadurch ausgelosten Re- 
akiion ebenfalls in der Sicherheitsrechnereinrichtung, also 
physikalisch getrennt von der Rechnerzentraleinheit des 
Zielrechners, durchgefuhrt werden, wodurch die Sicherheit 
zusatzlich erhohl wird. 

Vorteilhafterweise weist die Sicherheiisrechnereinrich- 
tung eigene Arbeitsspeicher und/oder Cachespeicher auf. 

In einer be senders bevorzugten Ausfiihrungsform weist 
die Sicherheitsrechnereinrichtung zumindest einen nicht 
loschbaren Speicherbaustein zur Aufnahme von zumindest 
einem Teil des BIOS und/oder des Betriebssystems fur die 
Durchfiihrung des Uberwachungs verfahrens auf. Diese 
Ausgestallung erhoht weilerhin die Sicherheit des Systems, 
da die fur die'Bearbeitung und Oberprufung erforderlichen 
Programihteile gegen Manipulation von auBen geschutzt 
sind. ""' 

1st dcr Teil 'ilcr Informationsstrcckc, dcr die Sicherheits- 
rechnereinrichtung mit der erslen und/oder der weiteren 
Rechnerzentraleinheit verbindeu zur optischen Entkoppe- 
lung von einer elektrooptischen Verbindung gebildet, so 



OCID: <DE_t97345e5A1J_> 



DE 197 34 585 A 1 



wird die Sicherheit des Systems weiter erhoht, insbesondere „ 
wird eine elektrooptische Anbindung des die Oberwachung 
durchfuhrenden Computers oder Computerbereich an den 
zu uberwachenden Computer oder die zu iiherwachenden 
Computerbereiche bevorzugl. 5 

Vorzugsweise ist dabei die elektrooptische Verbindung in, 
als Hybridbausteine ausgebildete Computerbausteine, vor- 
zugsweise in Speicherbausteine, integriert. Hierdurch kann 
beispielsweise eine Entkoppelung der Uberwachungsproze- 
dur von der Bearbeit ungsprozedur erfolgen. 10 

In einer besonders einfachen Ausfuhrungsform isi die Si- 
cherheitsrechnereinrichtung virtuell auf der erst en Rechner- 
zentraleinheit durch ein Softwareprogramm gebildet. das 
die Rechnerzentraleinheit, sowie deren Arbeitsspeicher und/ 
oder Cachespeicher benutzt. 15 

Die Erfindung betrifft weiterhin ein Softwareprogramm 
zur Ausfuhrung auf einer Datenverarbeitungsanlage zumin- 
dcst umfasscnd cin Bctricbssystcm, cincn Informations ma- 
nagement-Programmteil, der zu einer Rechnerzentraleinheit 
hin flieflende oder von der Rechnerzentraleinheil weg fiie- 20 
Bende Information abfangt und in einem definierten Zwi- 
schenspeicherbereich ablegt, einen, Informationsbearbei- 
tungs-Piogrammteil, der die zwischengespeicherte Informa- 
tion nach einer vorgegebenen Priifsequenz bearbeitet, wobei 
die Information mil Programinbefehlen beaufschlagl wird, 25 
einen Uberwachungs-Programmteil, der Reaklionen der In- 
formation auf die Programmbefehle mit vorgegebenen zu- 
iassigen Reaklionen vergleichi einen Iriformationsmanage- 
ment-Programmteil, der zu einer Rechnerzentraleinheit hin 
flieBende oder von der Rechnerzentraleinheit weg flieBende 30 
Information abfangt und der die Information nach einer vor-. 
gegebenen Priifsequenz bearbeitet, wobei die Information 
mil Progranimbefehlen beaufschlagl wird, einen IJberwa- 
chungs-Programmteil, der Reaklionen der Information auf 
die Programmbefehle mil vorgegebenen zulassigen Reaktio- 35 
nen vergleicht und der die Information nach Ablauf der 
Priifsequenz weiterleitet, wenn wahrend der Priifsequenz 
keine unzulassige Reakdon festgestellt worden ist. Dieses 
Softwareprogramm gestattet die Durchfiihrung des. erfin- 
dungsgemaBen Verfahrens in einem Computer. 40 

Vorzugsweise ist weiterhin ein Sicherheits-ProgrammteiJ 
vorgesehen, der, falls eine unzulassige Reaktion fest^esiellt 
worden ist, die Information sowie Paten iiber die unzulas* r 
sige Reaktion sowie vorzugsweise auch Daten iiber, Her- 
kunftseigenscbaften der Information sicher in einem Sicher- 45 
heitsspeicherbereich ablegt. Durch diese MaBnahme wird 
gewahrleistet, daB eine fiir' den Zielrechner moglicherweise 
gefahrliche Information, die beispielsweise einen Vims ent- 
halt, isoliert und sicher abgelegt wird. 

Weiter vorzugsweise ist ein Alarmierungs-Programmteil 50 
vorgesehen, der ein Alarmsignal an eine Anzeigeeinrich- 
tung ausgibt, sobald eine unzulassige Reaktion festgestellt 
worden ist. Hierdurch kann beispielsweise ein Systemadmi- 
nistrator eines Netzwerks sofort iiber eine aufgetretene un- 
zulassige Reaktion informiert werden. 55 

Die vorliegende Erfindung betrifft auBerdem einen Da- 
ten trager mit einem darauf gespeicherten Softwarepro- 
gramm gemaB einem der auf ein Softwareprogramm gerich- 
teten Anspriiche der Erfindung. 

Einer der wesentlichen Kerngedanken der vorliegenden 60 
Erfindung liegt mi thin darin, eine an einen Zielrechner oder 
Zielcomputer gerichiete Information mit einer fur die ent T 
sprechende Art der Information typischen Bearbeitungspro- 
zedur zu bearbeiten, um dabei fesizustellen, ob diese Infor- 
mation nur zulassigc Reaklionen wic beispielsweise. Zu- 65 
griffe auf bestimmte Speicheradressen ausfuhrt oder ob un- 
zulassige Reaklionen auftreten, d. h. beispielsweise ver- 
sucht wird, auf iiblicherweise fur eine bestimmte Informa- 



, tion nicht benuizie Speicheradressen zuzugreifen, wodurch 
, .die Information dann als gerahriich : eingestuft ; und nicht an 
den Zielrechner weitergeleitet wird. ■ ; . 

Die Durchfiihrung des erfindungsgemaBcn Verfahrens 
bzw. der Ablauf des erfindungsgemaBen Softwarepro- 
gramms kann entweder auf einem eigenstandigen als Hard- 
ware ausgebildeten Sicherheitsrechner oder aber auch in ei- 
nem abgegrenzten Speicherbereich des Zielrechners als vir- 
tuell ausgebildete Sicherheitsrechnereinrichtung erfolgen. 
Es sind auch Zwischenstufen moglich, in dencn Teile der Si- 
cherheitsrechnereinrichtung als eigenstiindige Hardware 
ausgebildet sind. wie beispielsweise die Speicherbausteine, 
und andere Teile der Sicherheitsrechnereinrichtung virtuell 
auf dem Zielrechner gebildet sind, so daB Teile des Zielrech- 
ners wie dessen Prozessor fur die Durchfiihrung des erfin- 
dungsgemaBen Verfahrens bzw. fiir den Ablauf des erfin- 
dungsgemaBen Softwareprogramms mitbenutzt werden. 

Die Erfindung wird nachfolgcnd anhand cincs Bcispicls 
unter Bezugnahme auf die Zeichnung naher erlaulert; in die- 
serzeigt: 

Fig. 1 den schematised! en Aufbau eines Local-Area-Net- 
work-Servers, mit AnschluB an ein extemes Netzwerk; 

Fig. 2 den schematischen Aufbau der im Server aus Fig. 1 
en thai tenen S i cherheitsrechnereinrichtu ng • 

Fig. 3 ein FIuBdiagrainin eines erfindungsgemaBen Ver- 
fahrens, das auf dem Server nach Fig. 1 ausgefuhrt wird. 

In Fig. 1 ist der schemarische Aufbau eines als Netzwerk- 
Server fiir ein.lokales Netzwerk LAN (Local- Area-Net- 
work) dienenden Computers 1 dargestellt. . 

Der Computer 1 weist eine Hauptplatine (Motherboard) 
10 auf, auf der eine Rechnerzentraleinheit (CPU) 11 in be- 
kannter Weise vorgesehen ist.. Der Aufbau der Hauptplatine 
10 ist nicht Gegenstand dieser Erfindung und entspricht da- 
her dem einem Fachmann gelaufigen ublichen Aufbau. An 
der Hauptplatine ist uber eine Tastaturschnittstelle 13 eine 
externe Tastatur 3 angeschlossen. Die Hauptplatine 10 ist 
weiterhin uber eine Grafikschnittstelle 14 mit einem Bild- 
schirm 4 verbunden. Mit einer Maus 6 steht die Hauptpla- 
tine 10 iiber eine Zeigegeratschnittstelle 16 in Verbindung. 
Ebenfalls an der Hauptplatine 10 angeschlossen sind als .* 
weitere Peripberiegerate cine FestplaUe 17, ein Disketten- 
laufwerk 18 und ein Bandlaufwerk 19, sowie eine Netz- 
werkkarte 15. Auf der Hauptpiarine-10 sind zudem ein Ar- 
beitsspeicher 21 und ein Cachespeicher 22 vorgesehen. 

Der Computer 1 steht. fiber die Netzwerkkarte IS, an der 
Netzwerkverbindungsleitungen 50 angeschlossen sind, in 
Verbindung mitweiteren Computem 51, 52, 53, 54 eines lo- 
kalen Netzwerkes 5. . , . , 

Weiterhin weist der Computer. 1 einen AnschluB 12 fur 
eine Verbindungsleitung 23 zu einem Modem 20 auf, uber 
welches der Computer 1 mit einem extemen Netzwerk, bei- 
spielsweise dem Internet, in Verbindung steht. Anstelle ei- 
nes Modems konnen an den Eingang 12 auch andere Verbin- 
dungsvorrichlungen angeschlossen sein, die eine Verbin- 
dung zwischen dem Computer 1 und einem externen Netz- 
werk herstellen. , ; 

Der Eingang 12 ist iiber eine Verbindungsleitung 12A, 
12B mit der Hauptplatine 10 und damit auch mit der Rech 
nerzentraleinheit 11 verbunden. In dieser Verbindungslei- 
tung 12A, 12B ist eine Sicherheitsrechnereinrichtung 2 vor- 
gesehen, so daB der Eingang 12 uber eine erste Verbin- 
dungsleitung 12A mit der Sicherheitsrechnereinrichtung 2 
verbunden ist und die Sicherheitsrechnereinrichtung 2 Uber 
eine zweiie Verbindungsleitung 12B mit der Hauptplatine 
10 verbunden ist. Diese zweite Verbindungsleitung 12B 
kann von einem optischen Leiter gebildet sein, der uber op- 
toelektronische Wandler mil der Sicherheitsrechnereinrich- 
tung 2 und der Hauptplatine 10 verbunden ist 
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Signaie. die aus einem eXterrien Neizwerk kommen und 
in den den Ziclrcchncr bildenderi Computer 1 eingeleitei 
werden, miisscn somit zunachst die Sicherheiisrechnerein- 
richtung 2 passieren>bevor sie an die Hauptplaiine 10 und 
damit an die Rechnerzentraleinheii 11 weitergeleile: wer- 
den. 

In Fig. 2 ist der Aufbau einer bevorzugten Sicherheits- 
rechncreinrichtung 2 dargestellt. Die Sicherheitsrechnerein- 
richiung 2 bcsitzi eine Hauptplaune 210, die in ahnlicher 
Wei so aufgehaut ist, wiedie Hauptplaiine lOdcs Computers 
1. Die Ilauptplatinc 210 der Sicherheitsrechnercin richiung 2 
weisi cine Rechnerzentraleinheii ((TU) 211 und einen Ca- 
chcspcichcr 222 auf. Der Cachespeicher 222 kann auch teil- 
weise oder vollstandig in die Rechnerzentraleinheii 211 in- 
icgricrt sein. 

Wciterhin wcist die Sicherheitsrechnereinrichtung 2 Ar- 
beit sspcichcr auf. die in Fig. 2 als quadratische Kasichen 
syntbolisch dargcsicllt sind, und die vorzugsweisc cben falls 
auf dor Ilaupiplaiine 210 angeordnet sind. Zur besseren Dar- 
stellung sind diese Arbeitsspeicher jedoch in Fig. 2 separai 
cingc/cichnct. Dicse Arbeitsspeicher oder Arbeitsspeicher- 
bcrcichc sind jeweils einer Komponente des Computers 1 in 
Fig. 1 zugeordnci. Der Arbeiisspeicherbereich 212 ist dem 
Eingang 12 zugeordnet, der Arbeiisspeicherbereich 213 ist ! 
der Schnillslcllc 13 fur die Taslalur 3 zugeordnet, der Ar- 
beiisspeicherbereich 214 ist der Grafikschnitlstelle ' 14 fiir 
den Bildschinn 4 zugeordnet, der Arbeiisspeicherbereich 
215 ist der Nei/.wcrkkarte 15 zugeordneu der Arbeiisspei- 
cherbereich 219 ist dem Bandlaufwerk 19 zugeordnet,- der ; 
Arbeiisspeicherbereich 217 ist der Festplatte zugeordnet, 
der Arbeiisspeicherbereich 218 ist dem Disketlenlaufwerk 
18 zugeordnet und der Arbeiisspeicherbereich 216 ist der 
Sennit tstcllc 16 fur das Zeigegerat 6 zugeordnet. Diese Zu- 
ordnung crfolgt derart, daB die jeweiligen Arbeitsspeicher 1 
berciche 212, 213. 214, 215, 216, 217, 218, 219, 222 jeweils 
den gleichen Arbeitsspeicher- Adressbereich aufweisen, wie 
die ihnen jeweils zugeordneten Kompdnenten 12, 13, 14, 
15, 16, 17, 18, 19, 22 des Computers 1. 

Die Sicherheitsrechnereinrichtung 2 weist auch einen 
nicht loschbaren und nicht uberschreibbaren Speicher 220 
auf, der bei spiels weise von eiheni EPROM gebildet ist und 
in dem das BIOS sowie das Betriebssystem fur die Sicher- ' 
heitsrechnereinrichtung 2 gespeichert sind. Vorzugs weise ist 
im nichi loschbaren und nicht Uberschreibbaren Speicher 
220 auch ein Uberwachungsprogramm fur die Durchfuh- 
rung der tjberwachung von Reaklionen einer in der Sicher r '' 
heiisrechnereinrichtung 2 bear bei Let en -'Information 1 abge>; 
speichen. Die Adressbereiche des Arbeitsspeichers, 'die 
nicht zu den vorstehehd aufgezahlten Adressbereichen'ge- ' 
horen, sind schematisch als Arbeitsspeicher 221' auf der 
Hauplplatine 210 dargestellt. ' ' 1 ; 

Eine Oberwachungseinriehmhg 225 ist eben falls in der 
Sicherheitsrechnereinrichtung 2 vorgesehen und ist mil der 
Hauptplaiine 210 und somit -mil der Rechnerzentraleinheii 
211 verbunden. Die Uberwachuhgseinfichtung 225 stent au- 
Berdem mittels in Fig. 2 gestrichelt gezeichneter Uberwa- : 
chungsleitungen 223,-224 hi it den vorgenannten Bcreichen 
212, 213, 214* 215, 216, 217; 218, 219 sowie 221 des Ar- 
beitsspeichers. sowie mil dem Cachespeicher 222 in Verbin- 
dung. Weilere Uberwachungslei lunge n 226. 227 fuhren von 
der Oberwachungseinrichtung 225 zum nicht loschbaren 
und nicht uberschreibbaren Speicher 220, sowie zur Rech- 
nerzentraleinheii 211. - - " 

Die fjberwachungsleiiungen 223, 224, 226. 227 konnen 
als optischc oder optoclcktronischc Vcrbindungcn ausgcbil- 
det sein, wobei nicht gezeigle optoelektrische Wandler in 
den jeweiligen Speicherbereichen auftretende elekiriscbe 
Signaie in optische Impulse umwandeln, die zur Uberwa- 
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chungseinrichtung -225 geleiiet und don. ausgewertet wer- 
den. 

Die in Fig. 2 gezeigle Sicherheilsrechnereinrichtung 2 
kann entweder direkt auf elektrische Weise oder indirekt auf 
optische oder optisch entkoppelte Weise uber die Leitung 
12B mil der Hauptplaiine 10 des Computers 1 verbunden 
sein. Da bei werden lediglich die Informaiionen iiber den 
Eingang einer neuen Information oder Nachricht, iiber die 
Tatsache; daB in der Sicherheitsrechnereinrichtung 2 gerade 
eine Priifung einer derartigen Information oder Nachricht 
durchgefuhn wird, daruber, daB diese Uberpriifung abge- 
schlossen ist. und iiber das Ergebnis der Uberpriifung uber 
den Rechncrbus an den Zielrechner ubertragen. In beiden 
Fallen wird die sichere Speicherung einer als gefahrlich ein- 
gestuften Information oder Nachricht, die auch als "abge- 
lehnte Nachricht" bezeichnet wird, in der Sicherheitsrech- 
nereinrichtung 2 durchgefuhn, wozu bei spiels weise ein ge- 
sichcrtcr Bcrcich des Arbeitsspeichers 221 rcscrvicrt sein 
kann. 

Die Steuerung des gesamten Verfahrens, also der Uber- 
priifung einer Information oder Nachricht, also insbeson- 
dere das Bearbeiien der Information oder Nachricht und das 
Uberwachen der durch das Bearbeiien erzeugten Reaktion, 
erfolgt intern in der Sicherheitsrechnereinrichtung 2. 
Ebenso erfolgt die Enlscheidung, ob die Nachricht an den 
Zielrechner weilergeleitet oder sicher gespeichert wird, in 
der Sicherheitsrechnereinrichtung. Die Xjfberwachung des 
Loschens der Speicher in der Sicherheitsrechnereinrichtung 
2 und die Weiterleitung der als positiv beurteilten getesteten 
Information oder Nachricht erfolgt iiber auf dem Zielrech- 
ner laufende Software. * f 
" Die Sicherheitsrechnereinrichtung 2 kann auch auBerhalb 
des Computers 1 vorgesehen sein und als eigehstandiger 
Computer ausgebildet sein, der zwischen dem Eingang 12 
des Computers 1 und dem Modem 20 vorgesehen ist und 
beispiels weise; uber eine Leitung des lokalen Netzwerkes 
mit deni Computer 1 verbunden ist In diesem Fall wird die 
Weiterleitung einer akzeptierten Nachricht an den Zielrech- 
ner, den Computer 1, iiber das lokale Netzwerk durchge- 
fuhn, wabrend in der in Fig. 2 dargestellten Ausfuhrungs- 
fbnn die : Weiterleitung einer akzeptierten Nachricht uber 
den Rechriefbus erfolgen kann: Auch die sichere Speiche- 
rung einer abgelehnten Nachricht kann in diesem Fall iiber 
den.Rechn'erbus durchgefuhn werden und im Computer 1 
erfo^eti.v ' . ^ " 

" ; In einer weitef vereinfachten Ausfuhrungsform sind le- 
diglich die Speicherbereiche 212, 213, 214, 215; 216, 217, 
218, 219, 221 und 222 auf einer separates Platine oder Ein- 
schubkarte des Computers 1 vorgesehen, die Uber das com- 
puterinteme BUS-System mit der Hauptplaiine 10 des Com- 
puters 1 verbunden sind. Weiterhin weist diese Sicherheits- 
rechnerplatine den nicht loschbaren und nicht uberschreib- 
baren Speicher 220 mit dem darin enthaltenen Oberpru- 
fungs-BIOS; dem' Bearbeitungs- und Oberwachungspro- 
gramm, sowie dem Programm fiir die Durchfuhrung der 
Speicherloschung auf. Die Steuerung des gesamien Prti- 
fungsablaufes in der auf diese Weise vereinfachten Sicher- 
heilsrechnereinrichtung sowie die Enlscheidung iiber die 
Qualitai der eingegangenen Nachricht erfolgen iiber eine auf 
dem Computer 1 selbst laufende Software, wobei die ent- 
sprechende Hardware des Computers 1 verwendet wird. 

In einer noch weiter vereinfachten Ausfuhrungsform der 
Erfindung wird die Sicherheitsrechnereinrichtung vollstan- 
dig auf dem Zieirechner, dem Computer 1, durch enispre- 
chende Software simulicrt, obnc das cine zusatzlichc Hard- 
ware- Sicherheitsrechnereinrichtung 2 vorgesehen ist, Dabei 
wird somit die Sicherheilsrechnereinrichtung 2 als "virtuelle 
Maschthe" auf dem Computer 1 abgebildeu Zur Sicherstel- 
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lung eines maximalen Schutzes werden zum Zeitpunkt des 
Beginns cincs erfindungsgemaBen Oberwachungsprozesses 
alle auf dem Computer 1 laufenden anderen Prozesse ange- 
h alien, eingefroren und gespeichett, so daO wa n rend des 
Oberwachungsprozesses ausschlieBLich dieses Oberwa- 5 
chungsprogramm auf dem Computer 1 ablauft. Erst- wenn 
der UberwachungsprozeB beendet ist und die zu uberpru- 
fende Nachricht beurteilt und entsprechend abgespeichert 
worden ist, werden die angehaltenen Prozesse wieder wei- 
lergeftihrt. 10 

Bei Verwendung dieser reinen Softwarelosung der Erfin- 
dung konnen die Speicher des Computers 1 Signalerzeuger 
enthallen, die bei Zugriff auf diesc Speicher ein Signal gene- 
rieren, das von der entsprechenden Uberwachungsprozedur 
ausgewertei wird. Diese Speicher mit Signalerzeugem ent- 15 
sprechen im wesentlichen jenen, die auch in der als Hardwa- 
relosung ausgebildeten Sicherheitsrechnereinrichtung2 vor- 
gcschcn scin konnen. 

In Fig. 3 ist ein FluBdiagramm gezeigt, welches den Ab- 
lauf einer Uberpriifungsroutine fur eine eingehende Nach- 20 
richt oder Information darstellL Dieser Ablauf kann sowohl 
bei einer Hardwarelosung als auch bei einer reinen Softwa- 
relosung als auch bei gemischien Hard- und Softwarelosun- 
gen des erfindungsgemaBen Verfahrens bzw. des ernndungs- 
geiniiBen Softwareprogniimns reatisieri. sein. 25 

Zunachst wird im Schritt 100 festgestelll, daB eine Nach- 
richt oder Information im Sicherheitsrechner eingegangen 
ist. Daraufhin wird im Schritt 101 die Sicherheitsrechner- 
einrichtung gestartet, Danach werden zunachst die Speicher 
der Sicherheitsrechnereinrichtung geloscht (Schriu 102), 30 
was vorzugsweisedurch Uberschreiben aller Speicheradres- 
sen mit Nullen erfolgt. AnschlieBend werden im Schritt 103 
das BIOS, das Betriebssystem und das Uberwachungspro- 
gramm aus dem nicht loschbaren und nicht uberschreibba- 
ren Speicher 220 in den Arbeitsspeicher 221 geladen. In ei- 35 
nem nachsten Schritt 104 wird die eingegangene Nachricht 
oder Information ebenfalls in den Arbeitsspeicher 221 ein- 
gelesen. Es erfolgt daraufhin im Schritt 105 die Bearbeitung 
der eingelesenen Nachricht oder Information, wobei die 
Nachricht oder Information mit einer Vielzahl von Befehlen 40 
nacheinander beaufschlagt wird. Im Schriu. 106. wird dann 
die Reaktion der Nachricht oder Information auf die im 
Schritt 105 erfolgte Beaufschlagung mit einem Befehliiber- 
wacht. Dabei werden in erster linie die Zugriffe der Nach- 
richt oder Information auf Speicheradressen beobachtet, 45 
analysiert und mit zulassigen Reaktionen (das heiBt zulassi- ' 
gen Speicherzugriffen) verglichen, woraufhin im Schritt 107. 
eine Entscheidung dartiber erfolgt, ob die jeweilige Reak- 
tion zulassig ist oder nichL 1st die beobachtete Reaktion un- 
zulassig, wird im Schritt 108 eine Alarmmeldung erzeugt 50 
und die Nachricht oder Information wird in einem sicheren 
Speicherbereich abgelegt (Schritt 109), Danach werden alle 
Speicher geloscht (Schritt 110) und die Sicherheitsrechner- 
einrichtung ist bereit, auf den Eingang einer neuen Nach- 
richt oder Information zu warten. . 55 

Wurde die beobachtete Reaktion im Schriu 107 als zulas- 
sig erkannt, so wird in einem nachsten Schritt 111 ermiuelt, 
ob die Bearbeitungsprozedur bereits beendet ist, das heiBt, 
ob alle Befehle der Bearbeitungsprozedur bereits ausgefuhrt 
worden sind. Ist dies nicht der Fall, wird zum Schritt 105 zu- 60 
ruckgekehrt. Ist die Bearbeitungsprozedur jedoch beendet, 
so erfolgt im Schritt 112 die Weilerleitung der eingegange- 
nen Nachricht oder Information an den Zielrechner, den 
Computer 1, bzw. eine temporare Speicherung der einge- 
gangcncn Nachricht oder Information, falls die Sichcrhcits- 65 
rechnereinrichtung als reine Softwarelosung virtuell auf 
dem Zielrechner. dem Computer 1, ausgebildet ist. Danach 
erfolgt im Schritt 110 die Loschung der Speicher, und die Si- 
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cherheitsrechnereinrichtung gehr in ei hen ^Wartezus land 
iiber, wo sie fur die Aufnahme einer nachsten Nachricht 
oder Information bereit isL ■• ■ " 

Paten tarisprtiche 

1. Verfahren zur Uberwachung von Information sfliis- 
sen in Computersystemen, wobei Information zwi- 
schen zumindest einer ersten Rechnerzentraleinheit 
(CPU) und zumindest einer Peripheriegerateeinheit 
oder einer weiteren Rechnerzentraleinheit (CPU) gelei- 
tet wird, mit den folgenden Schritten: 

- Einleiten der Information in einen Speicher ei- 
ner Sicherheitsrechnereinrichtung, 

- Bearbeiten der Information in der Sicherheits- 
rechnereinrichtung nach einer vorgebbaren Bear- 
beitungsprozedur, 

- Ubcrwachcn der durch das Bearbeiten der In- 
formation in der Sicherheitsrechnereinrichtung er- 
zeugten Reaktion und 

- Weiterleiten der Information, wenn die er- 
zeugte Reaktion einem vorgegebenen Reaktion s- 
rnuster entspricht. 

2. Verfahren nach Anspruch 1 * mit dem weiteren 
Schritt: 

- Speichern der Information in einem sicherheits- 
speicherbereich, wenn dieerzeugte Reaktion nicht 
einem vorgegebenen Reaktionsmuster entspricht. 

3. Verfahren nach Anspruch 1 oder 2 mit dem weiteren 
Schritt; 

- Ausgeben einer Alarmmeldung, wenn die er- 
zeugte Reaktion nicht einem vorgegebenen Reak- 
tions muster entspricht 

4. Verfahren nach Anspruch 1 , 2 oder 3 mit den zusatz- 
lichen Schritten: 

- zumindest einmaliges physikalisches toschen 

- des fur die Information und deren Bearbei- 
tung reservierten Arbeitsspeicherbereichs 
der Sicherheitsrechnereinrichtung, 

- des fur das BIOS der Sicherheitsrechner- 
einrichtung reservierten Arbeitsspeicherbe- 
reichs und 

- des fur das Betriebssystem der Sicher- 
heitsrechnereinrichtung reservierten Arbeits- 

: speicherbereichs ' 

sowie 

- erneutes Laden des BIOS und des Betriebssy- 
stem der Sicherheitsrechnereinrichtung in den Ar- 
beitsspeicher, : . 

bevor eine neue Information in die Sicherheitsrechner- 
einrichtung eingeleitet wird. 

5. Verfahren nach Anspruch 1; 2 oder 3 mit den zusatz- 
lichen Schritten: 

- zumindest einmaliges physikalisches Loschen 

- des fur die Information und deren Bearbei- 
tung reservierten Arbeitsspeicherbereichs 
der Sicherheitsrechnereinrichtung; " 

- des fur das BIOS der Sicherheitsrechner- 
einrichtung reservierten Arbeitsspeicherbe- 
reichs und 

- des fur das Betriebssystem der Sicher- 
heitsrechnereinrichtung reservierten Arbeits- 

1 speicherbereichs 

sowie 

- cmcutcs Laden des BIOS und des Betriebssy- 
stem der Sicherheitsrechnereinrichtung in den Ar- 
beitsspeicher. nachdem eine Information in der Si- 
cherheitsrechnereinrichtung entsprechend den 
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Schrittcn gernaB einem der AitsprOche 1 bis 3 ab-..a:>r' 
gcarbcitev. worden : jsl. . r-.dij 

6. Verfahrcn nach einem der vorhergehenden Anspru- 
che. wobci die Bearbeitungsprozedur eine fur die je- 
wcilige An der Information typische, vorgegebene Be- 5 
handlungsrouiinc aufweisi. 

7. Verfahrcn nach eine in der vorhergehenden Ansprii- 
chc. wobci die Bcarbeitungsprdzedur einen oder meh- 
rcrc Befchlc cinmal oder mehrmals ausflihrt, die geeig- 
nei sind. Virenprogrammc oder andene. aufgrund der zu to 
be I undo In den Information nicht e rice nn bare, unautori- 
sierte Prog rai nine oder Program mroutinen zu aktivic- 
ren. 

S. Verfahrcn nach einem der vorhergehenden Ansprii- 
chc. wobci im Schritl des Uberwachens der durch das 15 
Bcarbciien der [nfonnation in der Sicherheitsrechner- 
cinrichiung cr/cugien Rcaklion Zugriffe auf vorgege- 
bene Adresshcrciehc im Arbciisspcichcr und/odcr in 
( ^jclicspeichcrn dcickiicn und auf ihre Zulassigkeit hin 
jttNt;cuenel wcrden. / : 20 

*i. Vcrtalircii iiivhcMindere nach einem der vorherge- 
henden Anspruche; wobci die Schritte des Bearbeilens 
uiu: iles 1 "herwachens fur bestimmte vorgebbare Infor- 
mal ior uui^jni.*cn werden und die Information direkl 
jii eiucn Jclmiciicii /-ulassigen Adressbereich im Ar- 25 
beiiv*|viclicr midAsler in Cachespeichern weitergelei- 
lei wird und wobci die verbleibenden Adressbereiche 
des Arbcils>jvichcrs und/odeF von Cachespeichern 
tlcrari iibcrwacht werden. daB die Information den zu- r 
liissigcn Adrcssbcrcich nichl verlassen kann. . - : : : 30 

10. Vorrichium: /.ur Ubcrwachung von Informations- 
llusscn in ( "oinpuiersystcmen v wobei Information zwi- 
Ncltcn /uiiuikIcm ciucr ersten Rechnerzentraleinheit 
(<TU) (111 und /miiindcsl einer; Peripheriegerateein- 
hcil (20) o*lcr cincr weiteren Rechnerzentraleinheit >;35 
«TU) durch cine Informationsstrecke (12A, 12B, 23) 
geleitei wird, gcmuB einem Verfahren nach einem der 
Anspruche 1 his 9. dadurch gekennzeichnet, * 

daB cine Sichcrheitsrechnereinrichtung (2) in 
der Inforinuiionsstrecke (12A, 12B, 23) zwischen 40 
der crsicn -Rechnerzentraleinheit (ll)iund der Pe- 
ri pheriege nil eeinhei l (20) oder der weiteren Rech- 
. ncr/.cntr:ilcinhcit vorgesehen ist, so daB der FluB 
der Infonnaiion durch; die ; Sicherheitsrechnerein- 
richiung (2) von einem Informationseingang zu 45 
cine m Informationsausgang erfolgi, und .-o-:-. 

daB dic : Sicherheitsrechnereinrichtung (2) zu- 
tiiindcsi einen wiederbeschreibbaren Speicher 
aufweisi , wobei ein Speicherbereich (221) vorge- 
sehen ist.. in den, cine durch den Informationsein- 50 
gang ankoimiicndc Information .eingelei let wird, ' : 
in dcni sic heurhciici wird und aus dem sie weiter- 
gcleiici wird. 

11. Vorriehtung nach .Anspruch 10,. dadurch gekenn- 
zeichnet, ' ' . - 1 . * 55 

- daB. die Sichcrheiisrechnereinrichiung (2) als 
cigenstandig funktionsfahiger Computer mil einer 
eigencn Rcchnerzentraleinheii (CPU) (211) aus- 
gebildcl isl. 

12. Vorriehtung nach Anspruch 10 oder 11, dadurch 60 
gekennzeichnet. ... 

- daB die Sichcrheitsrechnereinrichtung (2) ei- 
gene Arbeiisspcicher (212, 213, 214,-215, 216, 
217, 218, 219, 221) und/oder Cachespeicher (222) 
aufweist. 65 

13. Vorriehtung nach eineni der Anspruche 10 bis 12, 
dadurch gekennzeichnet. 

- daB die Sicherheiisrechnereinrichiung (2) zu- 



mindest einen nicht loschbareh und nicht ttber- 
schreibbaren Speicherbaustein (220) zur Auf- 
•nahme von zumindest einem Teil des BIOS und/ 
. oder des Betriebssysteins fur die Durchfiihrung 
. . des Uberwachungsverfahrens aufweist 
14; Vorriehtung nach einem der Anspruche 10 bis 13. 
dadurch gekennzeichnet. 

• ' - • daB der Teil ( 12 A) der In formation sstrecke , de r 

- ,',die' Sicherheitsrechnereinrichiung (2) mil der er- 

sten (11) und/oder der weiieren Rechnerzentral- 
einheit verbindeu. zur optischen Entkoppelung 
von einer elektrooptischen Verbindung gebildet 
ist. 

15. Vorriehtung nach Anspruch 14, dadurch gekenn- 
zeichnet. 

- daB die elcktrooptische Verbindung in als Hy- 
bridbausteine ausgebildete Computerbausteine, 
vorzugsweisc in Spcichcrbauslcinc, intcgricrt ist. 

16. Vorriehtung nach Anspruch 10, dadurch gekenn- 
zeichnet. 

- daB die Sicherheitsrechnereinrichtung virtuell 
auf der ersten Rechnerzeniraleinheil (11) durch 

. ein Softwareprogramm gebildet ist, das die Rech- 
nerzentraleinheit (11) sowie deren Arbeitsspei- 
cher (21) und/oder Cachespeicher (22) ben ulzt. 

17:-. Softwareprogramm zur Ausfuhrung auf einer Da- 

ten verarbeitungsanlage zumindest umf as send ~ 

• ein Betriebssystem; ^ .-• - * 
einen : In formations management -Programmteil, r= 

. l .41er, zu- einer Rechnerzentraleinheit hinflieBende M 

- - .i oder von der.Rechnerzentraleinheit wegflieBende > 

'Informadon abfangt undi in 'einem definierten 

:r:Zwischenspeicherbere!ch ablegt; ' ' 

; >-r '; \ ei nen -InformaUonsbeaj^eimrigs-IVdgrammteil, 
-der. die- zwischengespeicherte -Information nach - -4 

einer- vorgegebenen -Prufsequenz-bearbeiteL, wo- * 

• , i bei "die Information rhit Programmbefehlen beauf- * T ^ 

•. : ischlagl wird; ' 1 ; . : • = 

einen Oberwachuhgs-Programmteil, der Realc- 

.*.' doheh der Information auf die Programmbefehle 

■■■•■rmtjt vorgegebenen iulassigen; Reaktionen- ver- 

a : g!eichl und der die Information nach Ablauf der 

• .*:Piiifsequenz weiterleitet; wenn wahrend der Priif- 
; ; :.sequenz- keine unzulassige Reakuon festgestellt 

• : ; worden ist. " i ' r ' • ■ 1 * : ' ! : 

18. "Softwareprogramm nach Anspruch 17, dadurch 
gekennzeichnet, : . ' 

- daB weiterhin ein Sichemeits-Prograrnmieil 
vorgesehen ist, der, falls eine unzulassige Reak- 
lion- festgestellt worden ist^ die Information sowie 
Daten iiber die unzulassige Rcakt ion sowie vor- 
zugsweise auch Daten iiber Herkunftseigenschaf- 
ten der Information sic her in einem Sicherheits- 
speicherbereich ablegL 

19. Softwareprogramm nach Anspruch 17 oder 18, da- 
durch gekennzeichnet. 

- daB weiterhin ein Alarmierungs-Programmleil 
vorgesehen ist, der ein Alarmsignal an eine An- 
zeigeein rich lung ausgibt. sobald eine unzulassige 
Reaktion festgestellt worden ist. 

20. Datentrager mil einem darauf gespeicherten Soft- 
wai eprogramm gemaB einem der Anspruche 17 bis 19. 
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